Как настроить MAC ACL: ограничение доступа и фильтрацию трафика на портах коммутатора

Рассмотрим, как настроить ограничение доступа и фильтрацию трафика с помощью MAC ACL (MAC Access Control List) на портах коммутатора Cisco Catalyst и повысить безопасность и управляемость локальной сети.

Содержание:

1. Что такое MAC ACL
2. Топология
3. Начальные настройки на коммутаторе
4. Настройка MACL
   1. Шаг 1: создать MACL для определения трафика
   2. Шаг 2: применить к MACL к нужному интерфейсу
5. Проверка настройки
6. Выводы

Что такое MAC ACL

Существуют разные способы фильтрации трафика на сетевых устройствах. Их общее название — списки контроля доступа (Access control lists, ACL). Более подробно они рассмотрены в статьях про PACL и VACL.

В данной статье будут рассмотрены MAC ACL. MAC ACL, также известный как Ethernet ACL или MAC PACL, предназначен для фильтрации IP и не-IP трафика на VLAN или физических интерфейсах L2, используя MAC-адреса с помощью именованного расширенного списка контроля доступа MAC extended ACL.

Последовательность настройки MAC ACL аналогична последовательности настройки всех остальных списков контроля доступа.

Топология

Исследуемая топология состоит из коммутатора Cisco Catalyst 3560 или 2960 с ПО Cisco IOS 15.0(2) IP Services и LAN Base соответственно. Допускается использование других коммутаторов и версий Cisco IOS.

Схема топологии следующая:

Начальные настройки на коммутаторе

hostname ALS
!
no ip domain lookup
!
line con 0
exec-t 0 0
logg sync
exit
!
interface range fastEthernet0/1-48
switchport mode access
spanning-tree portfast
exit

Проверим связь между устройствами:

Давайте теперь перейдем к MACL.

Настройка MACL

Теперь подробнее остановимся на том, как настроить MAC ACL на коммутаторе Cisco.

Шаг 1: создать MACL для определения трафика

Обратите внимание на то, что здесь ACL используется для определения конкретного трафика. Поэтому необходимо правило «разрешение» (permit) соответственно тому, что будет затребовано, будь то отклонение или разрешение, независимо от действия. В данном случае проведем следующий эксперимент — запретим весь трафик, который может быть запрещен MAC ACL:

Дополнительно разрешим ARP с помощью команды разрешения широковещательного трафика:

mac access-list extended MACL
permit any host FFFF.FFFF.FFFF
exit

Шаг 2: применить к MACL к нужному интерфейсу

Остается только применить эти правила к interface fastEthernet 0/1:

interface fastEthernet 0/1
mac access-group MACL in

Проверка настройки

sh run | begin FastEthernet0/1
show mac access-group interface FastEthernet0/1
show access-lists

Выводы

Спасибо за уделенное время на прочтение статьи. Теперь вы больше знаете о том, как настроить фильтрацию трафика на портах на L2 коммутаторах Cisco IOS с помощью MACL!

Если возникли вопросы, задавайте их в комментариях.

Подписывайтесь на обновления нашего блога и оставайтесь в курсе новостей мира инфокоммуникаций!

Чтобы знать больше и выделяться знаниями среди толпы IT-шников, записывайтесь на курсы Cisco, курсы по кибербезопасности, полный курс по кибербезопасности, курсы DevNet / DevOps (программируемые системы) от Академии Cisco, курсы Linux от Linux Professional Institute на платформе SEDICOMM University (Университет СЭДИКОММ).